Seguridad

Última actualización: 22 de octubre de 2026

Esta traducción se proporciona para su comodidad; si difiere de la versión en inglés, prevalecerá la versión en inglés.

La seguridad es fundamental para Waslo. Manejamos comunicaciones comerciales sensibles y datos de leads, y nos tomamos esa responsabilidad en serio. Así es como protegemos sus datos.

Cifrado

En Tránsito

Toda la comunicación entre su navegador y Waslo se cifra mediante TLS (HTTPS). Las solicitudes a la API, los tokens de autenticación y todas las transferencias de datos se cifran en tránsito.

En Reposo

Los datos sensibles, incluido el estado de autenticación de los canales (sesiones de WhatsApp, tokens de actualización OAuth de Outlook / Google Calendar / Meta, tokens de bot de Telegram) y las credenciales de integraciones de terceros, se cifran en reposo mediante cifrado autenticado conforme a los estándares del sector antes de su almacenamiento.

Autenticación y Control de Acceso

  • Autenticación Basada en Tokens: todas las solicitudes a la API se autentican mediante tokens seguros con caducidad configurable.
  • Hash de Contraseñas: las contraseñas se procesan con algoritmos de hash robustos y con sal antes de almacenarse.
  • Verificación en Dos Pasos (opcional): cualquier usuario puede activar códigos de una app de autenticación (Google Authenticator, Microsoft Authenticator, 1Password y otras) en Ajustes → Cuenta. Una vez activada, se solicita tras cualquier método de inicio de sesión (contraseña, Google o Apple), tanto en el sitio web como en la app de iOS. Cada código funciona una sola vez, los códigos incorrectos se limitan por cuenta y diez códigos de recuperación de un solo uso cubren la pérdida del teléfono.
  • Compatibilidad con OAuth: el inicio de sesión con Google, Apple y GitHub ofrece opciones adicionales de autenticación segura.
  • Protección del Inicio de Sesión: una cuenta se bloquea durante 15 minutos tras varias contraseñas incorrectas, y los formularios de "olvidé mi contraseña" y de verificación responden igual tanto si el correo está registrado como si no.
  • Enlaces de un Solo Uso Almacenados con Hash: los enlaces de restablecimiento de contraseña, verificación de correo e invitación de equipo se almacenan únicamente como un hash, de modo que una copia de la base de datos nunca contiene un enlace que funcione.
  • Limitación de Solicitudes: los endpoints de la API están protegidos con limitación de solicitudes para prevenir ataques de fuerza bruta y abusos.
  • Encabezados de Seguridad: aplicamos encabezados HTTP orientados a la seguridad, incluidos Content Security Policy, X-Frame-Options y otros.

Aislamiento de Datos Multiinquilino

Waslo es una plataforma multiinquilino. Cada consulta de datos está delimitada por la organización, que se extrae de la sesión autenticada. Esto garantiza que una organización nunca pueda acceder a los datos de otra organización, incluidos leads, conversaciones, configuraciones e integraciones.

Supervisión de Seguridad

Waslo mantiene un registro de auditoría de seguridad de las solicitudes rechazadas y sospechosas: intentos de leer o modificar los datos de otro espacio de trabajo, webhooks que no superan la verificación de firma, enlaces que apuntan a nuestra propia red, inicios de sesión y códigos de dos pasos fallidos, claves de API no válidas y ráfagas de solicitudes rechazadas. Las ráfagas desde una misma dirección se agrupan en lugar de registrarse una por una. Los eventos de alta gravedad alertan a nuestro equipo en cuanto ocurren, y se revisa un resumen diario. El registro no conserva contenido de mensajes, contraseñas ni tokens, y se elimina a los 180 días.

Infraestructura

Nuestra plataforma está alojada en una infraestructura en la nube de nivel empresarial con:

  • HTTPS automático y protección contra DDoS
  • CDN global para un acceso rápido y fiable
  • Aislamiento de red entre servicios
  • Conexiones cifradas a la base de datos y copias de seguridad periódicas
  • Red privada para la comunicación entre servicios internos

Prácticas de Seguridad de la Aplicación

  • Validación de entradas en todos los endpoints de la API para prevenir ataques de inyección
  • Restricciones CORS para impedir solicitudes de origen cruzado no autorizadas
  • Comprobaciones de idempotencia en el procesamiento de mensajes para evitar su tratamiento duplicado
  • Sin credenciales predeterminadas: todo acceso administrativo requiere una configuración explícita
  • Procesamiento cifrado de colas de mensajes para un flujo de datos fiable y seguro

Chat Web

  • Tokens de visitante con hash: el token que vuelve a conectar a un visitante con su conversación se almacena en nuestros sistemas únicamente como un hash SHA-256.
  • Solo en los sitios web indicados: el widget responde únicamente en las direcciones de sitio web que la empresa ha indicado; las solicitudes desde cualquier otro origen se rechazan.
  • Verificación anti-bots: Cloudflare Turnstile se ejecuta cuando un visitante abre el chat por primera vez.
  • Dominio independiente: el widget se sirve desde waslo.org, separado del panel de waslo.io, por lo que nunca comparte cookies ni sesiones con él.

Rastreador de Sitios Web

  • Se identifica como WasloSiteBot/1.0 y respeta robots.txt.
  • Lee únicamente páginas HTTPS públicas del mismo sitio y rechaza direcciones de redes privadas.
  • Hasta 3 análisis por espacio de trabajo al día; la empresa revisa las páginas antes de que se importe nada.

Lo que No Hacemos

  • No almacenamos credenciales de canales sin cifrar: cada sesión de WhatsApp, token OAuth y token de bot se cifra en reposo
  • No compartimos sus datos con terceros con fines publicitarios
  • No utilizamos los datos de sus conversaciones para entrenar modelos de IA

Revisión Independiente

Waslo es revisado por las plataformas con las que se integra y mediante auditorías adversariales de nuestro propio código.

  • Microsoft: editor verificado (29 de mayo de 2026). El acceso a Outlook se basa en Microsoft Graph.
  • Google: verificación OAuth superada (8 de junio de 2026). Solo permisos de Calendar; nunca solicitamos permisos de buzón de correo que no utilizamos.
  • Meta: App Review aprobada, aplicación publicada (30 de junio de 2026). Abarca los permisos de mensajería de WhatsApp Cloud API, Instagram y Messenger.

En julio de 2026 realizamos dos auditorías de seguridad adversariales de la superficie pública de la API. Ambas rondas detectaron problemas, y ambos conjuntos se corrigieron y se cubrieron con pruebas de regresión antes de su publicación, entre ellos una elusión de la protección contra falsificación de solicitudes del lado del servidor (SSRF), un parámetro de estado OAuth sin firmar y una condición de carrera en la deducción de créditos. Lo publicamos porque una auditoría que no encuentra nada suele ser una auditoría que no buscó.

Dónde Residen sus Datos

  • Aplicación y base de datos: alojadas en infraestructura en la nube gestionada en la UE, con conexiones cifradas, red privada y copias de seguridad automatizadas.
  • Subencargados del tratamiento: utilizamos un pequeño conjunto de proveedores identificados para alojamiento, base de datos, colas, correo electrónico transaccional, almacenamiento de archivos multimedia, supervisión de errores, pagos y verificaciones anti-bots del chat web (Cloudflare Turnstile). Cada uno está sujeto a sus propias condiciones de tratamiento de datos. La lista actualizada se publica en nuestra Política de Privacidad y se menciona en nuestro Acuerdo de Tratamiento de Datos.
  • Procesamiento de IA: el contenido de los mensajes se envía al proveedor del modelo para generar una respuesta. No se utiliza para entrenar sus modelos.

Conservación y Eliminación

  • Puede eliminar su cuenta desde el panel en cualquier momento; la eliminación borra los datos de su organización en un plazo de 30 días.
  • Los datos de conversaciones y de leads se conservan mientras su cuenta esté activa, porque el producto los necesita para responder con contexto.
  • Los visitantes anónimos del chat web se eliminan según el plazo que elija la empresa (de 30 a 365 días después de su último mensaje, 180 por defecto), y los resultados de los análisis del sitio web, transcurridos 30 días.
  • Los elementos efímeros (audio de voz alojado, enlaces a archivos multimedia, contadores de limitación de solicitudes) caducan automáticamente, normalmente en cuestión de minutos.

Lo que No Afirmamos

No contamos con certificación SOC 2 ni ISO 27001, no disponemos de acreditaciones HIPAA ni PCI, y todavía no ofrecemos inicio de sesión único (SSO o SAML). Somos un equipo pequeño que construye sobre infraestructura auditada, y preferimos decírselo antes que insinuar una certificación que no hemos obtenido. Si su proceso de compras exige alguna, indíquenoslo antes de comprar.

Cómo Informar de Problemas de Seguridad

Si descubre una vulnerabilidad de seguridad, infórmenos de ella de forma responsable enviando un correo electrónico a hello@waslo.io con el asunto "Security Report". Tomamos en serio todos los informes y responderemos con prontitud.